发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 #i*PwgC%_
---------------------------- \F+".X#jh
rem delvi.bat }5 $le]
:loop ^q%f~m,O<
attrib -h -r -s exp1orer.exe nYv keT
del exp1orer.exe Lm1JiP s d
attrib -h -r -s mshosts.exe eIf- 7S]m
del mshosts.exe ,[dvs&-*
attrib -h -r -s c:\winnt\intrenat.exe [a~@6*=
del c:\winnt\intrenat.exe 0=40}n&`
attrib -h -r -s interapi32.dll *M>~$h7
del inetapi32.dll . _Jypk8
attrib -h -r -s interapi64.dll $GhL-sqm
del inetapi64.dll +Oo-8f*
attrib -h -r -s mfcd3o.dll Es\J%*\u
del mfcd3o.dll c] $$ap
goto loop fwUF5Y
---------------------------- fgF@ x
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 )U]q{0 `
:DuEv:;v
搜索注册表，发现： 6O0aGJ,H
#8BI`.t)j
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] o> &pj
@="hookmir" z fy(j
9d=\BBNZ
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] G_ ~qk/7mF
@="C:\\WINNT\\system32\\interapi64.dll" E4.A$/s8[
"ThreadingModel"="Apartment" pY%KI
4 V
mUTMY
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] zx+}>(U\U
@="interapi64.classname" BXz g33
f3.oc9G
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 I9#l2<DYlX
t47;X}y f
[HKEY_CLASSES_ROOT\interapi64.classname] \DD4=XGA
@="hookmir" :gRVa=}=
Tn\{*A
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] ;Cty"H,
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" {CTJX2&
------------------------ ^bdXzjf
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion N{M25ucAHl
dAOJ:
@y
\Explorer\ShellExecuteHooks] 3e\IRF xzb
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" ^\yz`b(A0
A4KkX
把它们统统删除后，重新启动计算机。 OekE]`~w
再去删除interapi64.dll，OK! jj ' epbA
=k1sF3.V'c
总结一下可以启动就加载的地方： ']1a
1、我们熟悉的Run/Winlogon之类的地方 nCA~=[&H
2、IE的插件 REsw=P!b
3、ShellExecuteHooks G"6XJYoI
Vk[M .= J
`v2X p3o4f
yi (IIW
